TSB : la banque qui a basculé tous ses clients en un seul week-end

Qui était TSB avant la migration, et pourquoi devait-elle changer de système ?

TSB est une banque de détail britannique issue d'une séparation d'avec Lloyds Banking Group. Selon l'avis de sanction de la FCA du 20 décembre 2022, elle est née de cette cession en juin 2014 et comptait environ 5,2 millions de clients entre fin 2015 et fin 2018 : comptes courants, épargne, crédits immobiliers, cartes, assurance et banque des entreprises, servis en agence, par téléphone, sur internet et dans une application mobile. Le rapport indépendant de Slaughter and May date son introduction à la Bourse de Londres du 25 juin 2014.

Après la séparation, TSB ne possédait pas son propre cœur informatique. Elle continuait d'utiliser la plateforme de Lloyds dans le cadre d'un contrat d'externalisation qui pouvait durer jusqu'en juillet 2024, d'après le même avis de la FCA. Deux sorties étaient prévues : copier la plateforme de Lloyds et la confier à un autre prestataire (le « carve-out »), ou migrer vers un tout autre système. Le rapport Slaughter and May publié le 19 novembre 2019 ajoute deux raisons de partir : Lloyds était désormais un concurrent, et le prix du service de base payé à Lloyds devait fortement augmenter à partir de 2017.

En mars 2015, la banque espagnole Sabadell lance une offre de rachat, déclarée inconditionnelle le 30 juin 2015 ; Sabadell annonce avoir finalisé l'acquisition le 21 août 2015, selon la chronologie du rapport Slaughter and May. Sabadell avait déjà intégré plusieurs banques rachetées sur sa propre plateforme, Proteo. Son document d'offre, cité par la FCA, estimait les économies informatiques à environ 160 millions de livres par an avant impôt, la troisième année pleine après l'opération, grâce à la migration complète des services fournis par Lloyds vers Proteo.

La migration n'était donc pas un simple projet technique : elle faisait partie de la justification financière du rachat. La FCA souligne qu'il ne s'agissait pas de transférer des données vers un système existant et éprouvé, mais de construire une nouvelle version de Proteo adaptée au marché britannique, baptisée Proteo4UK, avec de nouveaux centres de données et un grand nombre de fournisseurs externes. La PRA, régulateur prudentiel rattaché à la Banque d'Angleterre, écrit dans son propre avis du 20 décembre 2022 que TSB était la première grande banque britannique à entreprendre une migration de cette ampleur.

Que s'est-il passé le week-end du 22 avril 2018 et dans les semaines suivantes ?

La bascule est autorisée le dimanche 22 avril 2018 vers 13 heures. Le téléphone et la banque en ligne sont ouverts à 18 heures, l'application mobile à 18 h 45, raconte la FCA. Les problèmes apparaissent aussitôt : connexions refusées, paiements qui échouent, service intermittent. Une quarantaine de clients signalent ensuite qu'ils voient les comptes d'autres personnes, souvent des proches ; à 19 heures, la banque en ligne est entièrement coupée pour chercher la cause. L'enquête montre que des clients liés, par exemple titulaires d'une procuration, voyaient en ligne les données des deux comptes. La FCA chiffre ce cas à 440 clients.

Le lundi 23 avril, les canaux numériques rouvrent à 2 heures du matin, mais une partie de la plateforme consomme une quantité anormale de mémoire. Sur environ 900 000 tentatives de connexion ce jour-là, seules 10 % des connexions à la banque en ligne aboutissent ; dans l'application, le taux passe d'environ 65 % à 80 % au fil de la journée. Selon la FCA, 48 % des paiements tentés dans l'application et 59 % de ceux tentés sur internet échouent ce lundi. Les canaux numériques sont de nouveau coupés le mardi 24 avril à 10 heures pour une heure prévue ; ils ne rouvrent que le mercredi à 3 heures du matin.

L'échec du numérique déclenche un effet de cascade. Le 23 avril, 69 000 appels arrivent avant 14 heures. Le centre d'appels avait été renforcé pour absorber 50 % d'appels en plus, mais une erreur de configuration des serveurs vocaux ne laisse disponible qu'environ 25 % de la capacité téléphonique prévue. L'attente atteint environ 90 minutes et 70 % des appelants raccrochent. En agence, l'application de guichet plante, les lecteurs de cartes à puce, les lecteurs de chèques et les imprimantes ne répondent plus ; les files s'allongent, car les clients privés d'internet et de téléphone se déplacent.

La FCA décrit des canaux numériques « instables et presque inutilisables » jusqu'au jeudi 26 avril. Des défauts persistent la deuxième semaine, l'accès à l'application se dégrade de nouveau fin mai, et certains problèmes durent jusqu'en juin 2018. Pendant la première semaine, 20 à 30 % des particuliers et des entreprises ne peuvent faire aucun paiement en ligne, et environ 60 000 clients voient des crédits ou des débits enregistrés en retard. Le rapport Slaughter and May ajoute que les tentatives de fraude opportunistes augmentent à partir du 30 avril et culminent le 15 mai 2018 à environ 70 fois leur niveau habituel.

Un point mérite d'être souligné : selon la FCA, la migration des données elle-même a réussi. Les enregistrements clients sont arrivés sur la nouvelle plateforme comme prévu. C'est la plateforme, son infrastructure et l'organisation chargée de l'exploiter qui n'étaient pas prêtes à servir l'ensemble des clients en même temps. Pour un dirigeant de PME, la distinction compte : « nos données sont passées » ne veut pas dire « notre activité fonctionne ».

Quel défaut technique précis a bloqué la banque en ligne ?

La nouvelle plateforme tournait sur deux centres de données censés fonctionner ensemble, chacun capable de prendre le relais de l'autre. La FCA explique qu'après la bascule, la session d'un client ouverte dans un centre pouvait voir sa transaction suivante envoyée vers l'autre, où cette session n'existait pas. Les demandes adressées au composant d'authentification passaient par un répartiteur de charge global au lieu du répartiteur local, et ce composant avait été configuré par erreur en grappe partagée entre les deux sites. Résultat : des messages « session expirée », des connexions perdues et des paiements interrompus.

TSB a déclaré, dans son communiqué du 19 novembre 2019, que des éléments des deux centres de données avaient été configurés de manière incohérente alors qu'ils devaient être identiques. Le rapport Slaughter and May fait le lien avec les tests : la décision de mener les tests de performance sur un seul centre de données rendait impossible la détection de ces écarts avant la mise en service. La FCA précise que TSB n'avait pas vérifié elle-même la configuration saisie par les sous-traitants, jugeant la tâche trop lourde, et qu'elle s'était fiée à des assurances et à une revue externe menée par sondage.

Le défaut n'est pas exotique. Une erreur de configuration entre deux serveurs, une session qui ne suit pas l'utilisateur, un répartiteur de charge mal réglé : ces problèmes existent aussi sur un site marchand hébergé sur deux machines ou sur un ERP placé derrière un équilibreur de charge. Ils se voient rarement dans un test fonctionnel, où l'on vérifie qu'un écran affiche le bon montant, et presque toujours dans un test de charge réaliste, qui reproduit le nombre d'utilisateurs simultanés du premier lundi.

Que recouvrent exactement ces montants ?

Dans ses résultats annuels publiés le 1er février 2019, TSB détaille les 330,2 millions de livres de coûts liés à la migration : 125,2 millions pour l'indemnisation des clients, la correction des comptes et les équipes affectées à ce travail, 49,1 millions de pertes liées à la fraude et aux incidents d'exploitation, 122,4 millions de renforts et de conseils pour corriger les systèmes, et 33,5 millions de revenus abandonnés, surtout des frais auxquels la banque a renoncé. TSB y annonce aussi un recouvrement provisoire de 153 millions de livres auprès de SABIS, son prestataire informatique.

Les réclamations ont dépassé toutes les prévisions. Le jeudi 26 avril 2018, quatre jours après la bascule, TSB avait enregistré 10 315 réclamations au lieu des 1 146 attendues, soit un écart de 900 %, d'après la FCA. Le 2 mai, le total atteignait 33 101, plus de dix fois le niveau habituel, selon Slaughter and May. La banque a mis près de douze mois à traiter les réclamations liées à la migration. L'indemnité la plus fréquente a été de 150 livres (49 910 cas) ; 22 clients classés dans la catégorie « extrême » ont reçu plus de 2 100 livres chacun.

Le coût commercial apparaît dans les mêmes résultats : environ 80 000 clients sont partis en 2018, contre 50 000 l'année précédente, selon The Register, même si TSB indique environ 140 000 ouvertures ou transferts de comptes vers elle sur l'année. Le coût pour la direction est visible aussi : début juin 2018, la commission des finances de la Chambre des communes déclarait avoir perdu confiance dans le directeur général, Paul Pester, rapporte Mortgage Solutions le 8 juin 2018. Il a quitté son poste le 4 septembre 2018.

Aucune source officielle ne publie un coût total unique. En additionnant les 330,2 millions de livres de 2018 et les 48,65 millions d'amendes de 2022, on obtient 378,85 millions de livres de montants publiés, une addition faite pour cette page qui ne retranche pas les 153 millions recouvrés auprès de SABIS et n'inclut ni les frais des années suivantes, ni l'effet sur la marque. Les 32,7 millions d'indemnités cités par la FCA ne doivent pas être ajoutés à cette somme : ils relèvent de la même catégorie de dépenses que la ligne de 125,2 millions de TSB, mesurée sur une autre période (jusqu'au 7 avril 2019) et sans les frais d'équipes.

Pourquoi une PME de Cotonou ou de Lyon est-elle concernée par l'échec d'une banque britannique ?

Une PME ne migre pas cinq millions de clients, mais elle migre régulièrement quelque chose dont elle dépend : un site vitrine qui change d'hébergeur, une boutique en ligne qui passe d'une solution à une autre, une comptabilité tenue sur tableur qui part vers Odoo ou Dolibarr, une base clients déplacée vers un nouveau serveur. Dans chacun de ces cas, il existe un moment de bascule après lequel les clients, les vendeurs ou le comptable travaillent sur le nouveau système, et une question simple : que se passe-t-il le lundi matin si cela ne marche pas ?

Les mécanismes décrits par la FCA se retrouvent à petite échelle. Une date fixée par un événement extérieur, comme une fin d'abonnement, un salon ou le début de l'exercice fiscal, plutôt que par l'état réel du projet. Un prestataire proche, un parent ou un ami développeur, qu'on n'ose pas contrôler comme un fournisseur. Des tests faits avec trois utilisateurs alors que trente se connecteront ensemble. Un ancien système résilié trop tôt, qui supprime toute possibilité de retour. Et une équipe qui n'a prévu personne pour répondre au téléphone quand les clients ne trouvent plus leur commande.

La différence d'échelle joue dans les deux sens. Une PME a moins d'utilisateurs, donc des tests réalistes coûtent beaucoup moins cher qu'à TSB. Mais elle a aussi moins de réserves : une semaine sans facturation, sans site marchand ou sans accès au stock peut peser plus lourd, en proportion, que les mois de crise d'une banque adossée à un grand groupe. Les montants de cette histoire ne se transposent pas ; la logique des décisions, si.

Comment Richard SALANON accompagne-t-il une migration de site, d'ERP ou de base de données ?

Richard SALANON est consultant en digitalisation et développeur logiciel, basé à Cotonou, au Bénin. Il crée des sites, des applications web et mobiles, des automatisations et des intégrations d'intelligence artificielle, déploie Odoo et Dolibarr, et forme les équipes à ces outils, pour des entreprises d'Afrique francophone, d'Europe et du Canada.

TSB n'a jamais été son client : cette page raconte une histoire publique pour en tirer une méthode. Sur une refonte ou une migration de site, Richard commence par l'inventaire de l'existant (pages, adresses, formulaires, paiements, comptes, sauvegardes), écrit avec vous les critères qui autorisent la bascule et prépare le chemin de retour avant de toucher au site en production. L'ancien site reste disponible tant que les redirections, les formulaires et les paiements n'ont pas été vérifiés sur le nouveau.

Pour un logiciel de gestion, la démarche est la même avec un enjeu de plus : la comptabilité et le stock doivent être justes à la date de bascule. Les pages intégration Odoo et intégration Dolibarr décrivent le déroulé : reprise des données sur une copie, contrôles par échantillon avec les personnes qui connaissent les chiffres, démarrage par module ou par site quand c'est possible, formation avant la mise en service. Le comparatif Odoo et Dolibarr aide à choisir l'outil avant de planifier la migration.

Après la bascule, la maintenance et le support prennent le relais : surveillance des premiers jours, correction des défauts, sauvegardes vérifiées, mises à jour planifiées. Les accès administrateur, le code et la documentation restent à votre nom, pour que vous ne dépendiez pas d'un seul prestataire, y compris de lui. Vous obtenez une réponse sous 24 heures, et un avis franc si la date que vous visez paraît trop serrée. Le parcours de Richard est présenté sur la page Richard SALANON, et d'autres récits publics sont réunis dans les histoires.